Credential Hunting

La caza de credenciales (credential hunting) es la búsqueda sistemática de contraseñas y secretos ya presentes en una máquina comprometida: ficheros de configuración, scripts, historiales, bases de datos, almacenes de navegador y gestores de credenciales. No explota ningún fallo concreto; explota el hábito de dejar credenciales escritas, y suele ser lo que convierte un acceso de bajo privilegio en el siguiente salto.

Por qué funciona. Administradores y aplicaciones guardan credenciales por comodidad: cadenas de conexión en web.config, contraseñas en scripts de despliegue, claves en .env, tokens en el historial de la shell, sesiones guardadas en el navegador. Una vez dentro, basta con buscar en los sitios de siempre con las herramientas del propio sistema.

El abuso. En Windows se peina el disco con findstr y el Administrador de credenciales; en Linux, con grep y la búsqueda por extensiones; en ambos, herramientas como LaZagne automatizan el volcado de almacenes conocidos.

# Windows: buscar "password" en tipos de fichero habituales y listar credenciales guardadas
findstr /SIM /C:"password" *.txt *.ini *.config *.xml *.ps1
cmdkey /list

# Linux: buscar claves privadas y credenciales en configuraciones e historiales
grep -rnw "PRIVATE KEY" /home/* 2>/dev/null
tail -n5 /home/*/.bash*

# automatizado: volcar almacenes conocidos (navegadores, wifi, etc.)
python3 lazagne.py all

Más sitios donde mirar:

# Windows: registro completo y ficheros jugosos
reg query HKLM /f password /t REG_SZ /s
dir /s /b *.kdbx *.config unattend.xml web.config 2>nul
# Linux: patrones amplios y ficheros de credenciales
grep -rniE 'password|passwd|api[_-]?key|secret|token' /var/www /etc /opt 2>/dev/null
find / \( -name id_rsa -o -name '*.kdbx' -o -name '.env' \) 2>/dev/null
python3 firefox_decrypt.py                        # descifrar el almacen de Firefox
mimipenguin                                        # credenciales en claro de la memoria (Linux)

Requisitos. Basta con acceso al sistema de ficheros del host comprometido, idealmente con el usuario o servicio propietario de los almacenes; algunos (Credential Manager, claves DPAPI) exigen el contexto del usuario. El valor depende de lo descuidado que sea el entorno.

Cómo detectarlo. Individualmente es ruido de fondo, pero el patrón delata: lecturas masivas y rápidas de muchos ficheros de configuración, historiales y almacenes de navegador por parte de una cuenta que no lo hace normalmente, o la ejecución de utilidades de volcado de credenciales (LaZagne, mimipenguin). En Windows, el acceso a los ficheros de DPAPI y del Credential Manager es una señal de apoyo (ver secretos DPAPI).

Defensa. No almacenar credenciales en texto plano; usar gestores de secretos y cuentas de servicio gestionadas (gMSA); limpiar historiales y ficheros temporales; y aplicar mínimo privilegio para que, aunque se encuentre una credencial, sirva de poco. Es hermana de credenciales en el código y de los secretos DPAPI, desemboca en reutilización de credenciales y se apoya en la mutación de contraseñas cuando lo hallado hay que crackearlo.